30 января 2014
Android, угрозы 2013 года от компании «Доктор Веб»
Компания «Доктор Веб» опубликовала обзор информационных угроз операционной системы Android зафиксированных в 2013 году. Наиболее распространенной угрозой стали троянские программы, предназначенные для осуществления несанкционированных пользователем действий, направленных на уничтожение, блокирование, модификацию или копирование информации и нарушение работы мобильных устройств.
Общая статистика угроз Android в 2013 году
Операционная система Android окончательно укрепила за собой статус главной площадки по осуществлению незаконной деятельности киберпреступников на мобильном рынке.
Динамика роста вирусной базы компании «Доктор Веб» наглядно демонстрирует приоритет интереса киберпреступников к мобильным телефонам, планшетным компьютерам и смартбукам. Число вредоносных приложений использующих операционную систему Android за 2013 год выросло на 122%, а по сравнению с 2010 годом их количество увеличилось на 9280%.
Рис. 1 Рост количества вредоносных приложений Android
Другая группа мобильных платформ, таких как BlackBerry, Symbian OS, Java, iOS и Windows Mobile в конце 2013 продемонстрировала в 1,76 раза меньшие показатели по сравнению с Android.
Рис. 2 Мобильные вредоносные приложения в 2013 году
В течение 2013 года на 185% выросло число семейств вредоносных и потенциально опасных программ для операционной системы Android.
Рис. 3 Рост количества семейств вредоносных приложений Android
Общий рейтинг информационных угроз мобильных устройств приведен на диаграмме.
Рис. 4 Частота заражения вредоносными приложениями Android
СМС троянцы лидируют
Анализ рейтинга «популярности» угроз показывает, что пальма первенства принадлежит Android.SmsSend. Они появились в 2010 году и предназначены для скрытой отправки СМС сообщений и подписки пользователей на платные услуги. За прошлый год их число выросло более чем вдвое.
Рис. 5 Рост количества программ Android.SmsSend
Android.SmsSend маскируют под обновления программного обеспечения, инсталляционные пакеты, а также входить в состав модифицированных легальных программ. В прошлом году зафиксирован ряд модификаций в Китае и Вьетнаме. Чаще всего изменению подвергаются популярные игровые приложения и реже – прикладные программы. Следует полагать, что в будущем география распространения СМС троянцев расширится.
В сентябре прошлого года был обнаружен самый крупный мобильный ботнет. По оценкам экспертов компании «Доктор Веб» в состав бот-сети входило более 200 000 смартфонов и планшетов. Для заражения мобильных устройств киберпреступники использовали несколько модификаций инсталляторов веб-браузеров и клиентов для работы с социальными сетями. Распределение бот-сети по планете отражено на иллюстрации.
Рис. 6 География мобильного ботнета Android.SmsSend
Android.SmsSend эволюционирует в Android.SmsBot
В прошлом году началось распространение «свежей» модификации троянцев Android.SmsBot. Эта группа вредоносного программного обеспечения управляется злоумышленниками дистанционно. По сигналу вредоносный код может скачивать и загружать файлы, распространять спам и вирусы, управлять персональным компьютером через разрешение удаленного доступа, получать доступ к ресурсам пользователя или сторонним ресурсам или использовать компьютер как часть ботнета.
В конце 2012 года вирусная база «Dr.Web» содержала одну запись, относящуюся к программам семейства Android.SmsBot, а в 2013 году их число достигло 24. Нетрудно догадаться, что количество таких «программ» также будет расти.
Рис.7 Число вирусных записей для троянцев семейства Android.SmsBot
Отмечен рост количества вредоносных направленных на похищение тех или иных конфиденциальных сведений у владельцев смартфонов и планшетов под управлением операционной системы Android. Отдельные модификации приложений осуществляют, установку кейлогеров или имитируют интерфейс мобильных банковских клиентов для кражи номеров кредиток и паролей посредством USSD или СМС запросов, следят и собирают сведения о деятельности пользователей. К ним можно отнести Android.Tempur и Android.Banker, а также представителей групп Android.SmsSpy, Android.SmsForward, Android.Pincer и Android.Spy.
В 2012 году число подобных «приложений» можно было сосчитать на пальцах. В 2013 году использование банковских троянцев были зафиксированы в России, Таиланде, Великобритании, Турции, Германии, Чехии, Португалии, Австралии, Южной Корее. В Южной Корее распространение банковских «приложений» было наиболее массовым. В течение 2013 года эксперты компании «Доктор Веб» зарегистрировали 338 случаев. Динамика обнаружения таких случаев проиллюстрирована на графике.
Рис. 8 Распространение банковских троянцев в Южной Корее
Чаще всего пользователи сталкивались с программами-шпионами Android.Spy.45.origin и Android.SmsSpy.51.origin. Распределение Android-угроз показано на диаграмме.
Рис. 9 Распределение Android-угроз за 3 месяца 2013 года
Вот часть набора троянских программ, занесенных в вирусную базу Dr.Web в 2013 году: Android.Phil.1.origin, Android.MailSteal.2.origin, Android.ContactSteal.1.origin, Android.EmailSpy и Android.Infostealer, собирали сведения из телефонных книг; Android.Callspy.1.origin, который «коллекционировал» информацию о совершаемых пользователями звонках. Появились программы выполняющие комплексные агентурные функции – перехват СМС сообщений, отслеживание местоположения, получение информации об устройстве, установленных приложениях, хранящихся на SD-карте файлах и т. п. К ним относятся Android.Roids.1.origin, Android.AccSteal.1.origin, а также приложения семейства Android.Wondertek.
Начали появляться версии программ для мониторинга: Android.MobileSpy, Android.SpyBubble, Android.Recon; и новые приложения; Program.Childtrack.1.origin, Program.Copyten.1.origin, Program.Spector.1.origin, Program.OwnSpy.1.origin, Android.Phoggi.1.origin.
Угрозы в каталоге приложений Google Play
В приложениях каталога программ Google Play зарегистрированы рекламные модули, которые демонстрировали push-уведомления с ложными предупреждениями, провоцирующие пользователей к загрузке одного из троянцев семейства Android.SmsSend. Виновником одного из массовых случаев заражения Android-устройств стал троянский рекламный модуль Android.Androways.1.origin, который за время существования каталога Google Play мог посетить более 5 миллионов пользователей.
Летом 2013 года Dr.Web обнаружил «мультимедийные проигрыватели» вьетнамского происхождения, содержащими «дропперы» семейства Android.SmsSend. На момент обнаружения количество пораженных мобильных устройств составило более 11 000. СМС троянцы, получившие от компании «Доктор Веб» имена Android.SmsSend.513.origin и Android.SmsSend.517, выполняли отправку коротких сообщений с премиум-тарификацией.
В декабре были обнаружены две угрозы, «поселившиеся» в каталоге Google Play – троянец Android.WhatsappSpy.1.origin и небезопасная программа Program.Bazuc.1.origin. Первый использовал сохраненные сообщения мессенджера WhatsApp и передавал на сервер номера телефонов, связанные с учетной записью пользователя сервиса. Это вынудило корпорацию Google удалить эту программу из каталога Google Play. Вторая, под названием Bazuc, позволяла доступ для отправки рекламных и информационных сообщений.
В то же время шпион Android.Spy.51.origin под видом сборника изображений передавал на удаленный сервер информацию о номерах мобильных телефонов жителей Южной Кореи. Специалистами компании «Доктор Веб» было выявлено 48 программ число загрузок которых превысило 12 000.
Приведенные цифры говорят об опрометчивости пользователей, которые устанавливают малоизвестные или подозрительные программы.
Уязвимости операционной системы
В прошлом году было выявлено несколько программных ошибок, которые позволили киберпреступникам обойти встроенные механизмы защиты платформы Android.
Программные погрешности, получившие название Master Key (#8219321), Extra Field (#9695860) и Name Length Field (#9950697), позволили злоумышленникам обойти механизмы защиты платформы Android, модифицируя программные пакеты без нарушения целостности криптографической подписи.
Все apk-файлы, использующие аналогичные программные ошибки, детектируются антивирусными средствами Dr.Web для Android как Exploit.APKDuplicateName.
В 2013 году обнаружению известных вредоносных приложений препятствовала возможность установки apk-пакетов, имеющих в своей структуре искусственно внесенный указатель на присутствие пароля для zip-архива. Этим воспользовались вирусописатели троянца Android.Spy.40.origin для перехвата входящих СМС сообщений. Специалисты компании «Доктор Веб» обнаружили проблему в октябре. Сегодня сходные угрозы успешно детектируются.
Сокрытие вредоносной активности, противодействие анализу, обнаружению и удалению
В прошлом году участилось использование изощренных приемов, затрудняющих проведение анализа, обнаружения и удаления вредоносных приложений на мобильных устройствах. Распространенной методикой самозащиты у троянцев стала эксплуатация привилегий администратора устройства, так как попытка удалить вредоносную программу приводила к ошибке.
Например, приложения семейства Android.Obad, отправляли сообщения и загружали другие вредоносные приложения. При этом они использовали функции администратора мобильного устройства, контролировали его активность и одновременно использовали ошибку операционной системы, которая позволяла им скрывать свое присутствие
В общем случае опытный пользователь лишает троянца соответствующих полномочий, а большинство владельцев Android-устройств испытывают затруднения при очистке мобильного устройства от инфекции.
Распространение коммерческих систем декомпиляции, взлома и модификации могут использоваться не только разработчиками легитимных программ, но и вирусописателями. Специалистами компании «Доктор Веб» были выявлены применения вредоносных программ в троянцах Android.Spy.67 и Android.Tempur.5.origin.
Поддельные антивирусы
В прошлом году возросло количество поддельных антивирусных средств семейства Android.Fakealert, сообщающих о ложных угрозах и предлагающих за плату избавить пользователя от несуществующих угроз. Их общее число составило 10 единиц.
Среди обнаруженных модификаций выделяется Android.Fakealert.10.origin, распространявшийся под видом приложения для просмотра видео категории «для взрослых». После запуска эта программа имитировала деятельность антивируса и сообщала о заражении устройства. Для «лечения» предлагалось купить «полную» версию программы.
Заказные троянцы и хакерские утилиты
Начиная с позапрошлого года активизируется рынок мобильных киберуслуг. Значительной популярностью пользуются СМС-троянцы семейства Android.SmsSend и Android.SmsBot. Цена такого приложения исчисляется сотнями и тысячами долларов.
В январе началась продажа троянца под названием Perkele, способного имитировать внешний вид официальных приложений «банк-клиент» и красть конфиденциальную информацию пользователей. Perkele мог обворовывать пользователей почти 70 крупнейших кредитных организаций мира и применяться для осуществления таргетированных атак. Модификации этой программы детектируются антивирусом Dr.Web как представители семейства Android.SmsSpy.
В июле месяце специалистами компании было зафиксировано два «продукта»: Tool.Androrat и Tool.Raziel. Первая утилита для своей работы использовала исходный код свободно распространяющегося приложения для удаленного доступа и управления AndroRat. Вторая – программа-шпион, которая может быть встроена в приложения Android, либо скомпилирована в самостоятельный apk-пакет. Первая утилита детектируется как Program.Androrat.1.origin., а вторая под именем Android.Raziel.1.origin.
Две эти утилиты объединяет то, что они отличаются относительной легкостью и простотой использования. Это допускает возможность создания троянских Android-приложений людьми, с незначительными познаниями в программировании.
Интересные и необычные угрозы
В 2013 году одна из модификаций троянца-шпиона Android.EmailSpy.2.origin после удачной отправки сведений из телефонной книги пользователя, могла показать оскорбляющее его изображение.
Индийский троянец Android.Biggboss обнаружен в марте. Программа распространялась на сайтах-сборниках программного обеспечения в модифицированных приложениях. При запуске программа демонстрировала в диалоговом окне сообщение из несуществующего отдела кадров. Нетрудно догадаться, что дальше следовало предложение перевести некоторую сумму с целью гарантировать кандидату получение вакантного места.
